Załącznik nr 1 do Regulaminu – Umowa powierzenia przetwarzania danych osobowych

Umowa zawarta pomiędzy Klientem jako administratorem („Administrator”) a Marcinem Pastorczykiem, prowadzącym działalność gospodarczą pod firmą Marcin Pastorczyk IT, Lipnica Wielka 92, 34-483 Lipnica Wielka, NIP 7352613805, jako podmiotem przetwarzającym („Przetwarzający”), z chwilą zawarcia umowy o korzystanie z usługi pauseclick.pl, na podstawie art. 28 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 („RODO”). Pojęcia pisane wielką literą mają znaczenie nadane w Regulaminie.

§ 1. Przedmiot, cel i charakter przetwarzania

1. Administrator powierza Przetwarzającemu przetwarzanie danych osobowych wyłącznie w celu świadczenia Usługi opisanej w Regulaminie: prowadzenia na polecenie Administratora programu podnoszenia odporności Pracowników na phishing – wysyłki Symulacji, rejestrowania reakcji (otwarcie linku, Zgłoszenie, Mikroszkolenie, pytanie kontrolne), obsługi Zgłoszeń, raportowania wyników Administratorowi oraz realizacji żądań Pracowników.
2. Charakter przetwarzania: zbieranie (wprowadzanie i import przez Administratora), przechowywanie, porządkowanie, wykorzystywanie do wysyłki wiadomości, analiza i zestawianie wyników, wysyłanie wiadomości w imieniu Administratora, tworzenie kopii zapasowych, eksport, anonimizacja i usuwanie.
3. Przetwarzający jest odrębnym administratorem danych Użytkowników (konta, logowanie, bezpieczeństwo kont), danych rozliczeniowych Klienta i korespondencji z Klientem – ich przetwarzanie opisuje Polityka prywatności, a nie niniejsza umowa.

§ 2. Zakres danych i kategorie osób

Przetwarzający nie przetwarza haseł ani danych uwierzytelniających Pracowników, szczególnych kategorii danych (art. 9 RODO) ani danych z prywatnych skrzynek. Administrator nie wprowadza takich danych do Usługi.

§ 3. Czas przetwarzania, retencja i usunięcie danych

1. Przetwarzający przetwarza dane przez czas trwania umowy o korzystanie z Usługi, a po jej zakończeniu – do ich usunięcia zgodnie z niniejszym paragrafem.
2. Niezależnie od czasu trwania umowy Przetwarzający automatycznie:
   1. anonimizuje dane imienne powiązane z wynikiem Symulacji (adres e-mail, imię, nazwisko) po 90 dniach od wysyłki – adres zastępuje skrót kryptograficzny, a dział i wynik pozostają w statystykach zbiorczych;
   2. anonimizuje dane Pracownika usuniętego z Usługi po 90 dniach od usunięcia; na żądanie Administratora – natychmiast;
   3. usuwa zdarzenia Symulacji i statystyki zbiorcze po 36 miesiącach;
   4. usuwa zdarzenia serwera pocztowego (zwroty, skargi), adres testu dostarczalności i adres odbiorcy instrukcji konfiguracji poczty po 13 miesiącach;
   5. usuwa dziennik zdarzeń (bez danych Pracowników) po 24 miesiącach.
3. Po zgłoszeniu usunięcia Konta Przetwarzający trwale usuwa dane osobowe Pracowników po 30 dniach, chyba że przepis prawa nakazuje ich dalsze przechowywanie. Kopie zapasowe są usuwane w cyklu nie dłuższym niż 35 dni.
4. Przed usunięciem Konta Administrator może pobrać eksport wszystkich danych (plik do odczytu maszynowego). Po upływie terminu z ust. 3 zwrot danych nie jest możliwy.

§ 4. Obowiązki Przetwarzającego (art. 28 ust. 3 RODO)

Przetwarzający:

1. przetwarza dane wyłącznie na udokumentowane polecenie Administratora – za które uznaje się Regulamin oraz ustawienia i działania Użytkowników w Usłudze (w szczególności import Pracowników, uruchomienie Kampanii, wybór sposobu prezentacji wyników, włączenie podziękowań dla zgłaszających, usunięcie lub anonimizacja danych) – także w odniesieniu do przekazywania danych do państwa trzeciego, chyba że obowiązek przetwarzania nakłada na niego prawo Unii lub prawo polskie; w takim przypadku informuje Administratora o tym obowiązku, o ile prawo tego nie zakazuje; jeżeli polecenie w jego ocenie narusza RODO, niezwłocznie informuje o tym Administratora;
2. zapewnia, by osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy;
3. stosuje środki bezpieczeństwa opisane w § 5;
4. przestrzega warunków korzystania z usług dalszych podmiotów przetwarzających (§ 7);
5. pomaga Administratorowi, w miarę możliwości, odpowiednimi środkami technicznymi i organizacyjnymi, wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą – w szczególności przez funkcje eksportu danych osoby i całego Konta, jednorazowego linku do danych wysyłanego bezpośrednio na adres Pracownika (art. 15 RODO) oraz natychmiastowej anonimizacji; żądanie skierowane bezpośrednio do Przetwarzającego przekazuje Administratorowi bez zbędnej zwłoki;
6. pomaga Administratorowi wywiązać się z obowiązków określonych w art. 32–36 RODO, uwzględniając charakter przetwarzania i dostępne mu informacje, w tym udostępniając informacje potrzebne do oceny skutków dla ochrony danych;
7. po zakończeniu świadczenia usług usuwa dane zgodnie z § 3;
8. udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia audyty na zasadach § 8;
9. uzyskuje dostęp do danych w Koncie wyłącznie w przypadkach opisanych w § 10 Regulaminu, z uwierzytelnieniem dwuetapowym, a czynności wykonane w Koncie zapisuje w dzienniku zdarzeń.

§ 5. Środki bezpieczeństwa

Przetwarzający stosuje środki techniczne i organizacyjne zgodne z art. 32 RODO, w szczególności:

1. szyfrowanie połączeń (TLS) między przeglądarką a Usługą; serwer aplikacji przyjmuje ruch wyłącznie przez sieć ochronną dostawcy pośredniczącego;
2. logiczne oddzielenie danych każdego Administratora – każde zapytanie o dane jest ograniczone do Konta, a poprawność tego ograniczenia jest sprawdzana testami automatycznymi przy każdej zmianie oprogramowania;
3. kontrolę dostępu opartą na rolach Użytkowników;
4. przechowywanie haseł wyłącznie w postaci skrótów (scrypt), potwierdzanie adresu e-mail, ograniczanie liczby prób logowania oraz uwierzytelnianie dwuetapowe (obowiązkowe dla osób Przetwarzającego);
5. szyfrowanie sekretów uwierzytelniania dwuetapowego kluczem przechowywanym poza bazą danych;
6. przechowywanie adresów IP wyłącznie w postaci skrótów kryptograficznych, a adresów e-mail po anonimizacji – wyłącznie jako skrót z kluczem (HMAC);
7. dziennik zdarzeń zabezpieczony przed modyfikacją i usuwaniem wpisów poza automatyczną retencją;
8. codzienne kopie zapasowe bazy danych przechowywane w odrębnym magazynie w Unii Europejskiej, z okresowym testem odtworzenia;
9. minimalizację danych i automatyczną retencję oraz anonimizację (§ 3);
10. podpisywanie wysyłanych Symulacji (DKIM) i uwierzytelnianie domen symulacyjnych (SPF, DMARC);
11. regularne aktualizacje oprogramowania i zależności oraz dzienniki techniczne konfigurowane tak, aby nie zawierały danych Pracowników.

§ 6. Funkcje wykonywane w imieniu Administratora

1. Wiadomości do Pracowników poza Symulacjami. Na polecenie Administratora Przetwarzający wysyła Pracownikowi: (a) podziękowanie za Zgłoszenie – gdy Administrator ma włączoną tę funkcję; (b) jednorazowy link do pliku z danymi Pracownika – gdy Administrator realizuje w ten sposób żądanie dostępu.
2. Prezentacja wyników. Administrator wybiera w Usłudze, czy widzi wyniki imienne (przez okres z § 3 ust. 2 pkt 1), czy wyłącznie statystyki zbiorcze.
3. Ochrona doręczalności. Na adres, z którego wiadomość trwale wróciła albo którego odbiorca zgłosił ją jako niechcianą, Usługa nie wysyła kolejnych wiadomości; przy nadmiernej liczbie zwrotów lub skarg wysyłka z Konta może zostać wstrzymana do wyjaśnienia z Administratorem. Mechanizm służy ochronie infrastruktury wysyłkowej używanej do świadczenia Usługi. Adres, który został odrzucony przez serwer odbiorcy już przy próbie doręczenia albo trwale zwrócony u kilku Administratorów, Przetwarzający może wyłączyć z wysyłki dla wszystkich Kont – jako skrót kryptograficzny, bez wiązania z wynikami Symulacji.

§ 7. Dalsze powierzenie

1. Administrator udziela ogólnej zgody na korzystanie przez Przetwarzającego z usług dalszych podmiotów przetwarzających. Aktualna lista, z zakresem danych, lokalizacją i podstawą przekazania, stanowi Załącznik nr 2 (Lista podprocesorów) i jest publikowana w Usłudze.
2. O zamiarze dodania lub zastąpienia dalszego podmiotu przetwarzającego Przetwarzający informuje Administratora e-mailem co najmniej 14 dni wcześniej. Administrator może w tym terminie zgłosić uzasadniony sprzeciw na adres [email protected]; jeżeli strony nie dojdą do porozumienia, Administrator może wypowiedzieć umowę ze skutkiem natychmiastowym i otrzymuje zwrot opłaty za niewykorzystaną część okresu rozliczeniowego.
3. Przetwarzający nakłada na dalszych przetwarzających obowiązki ochrony danych nie mniejsze niż wynikające z niniejszej umowy i odpowiada wobec Administratora za ich wykonanie.
4. Przekazanie danych do państwa trzeciego odbywa się wyłącznie na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (w tym w ramach EU-US Data Privacy Framework, jeżeli odbiorca jest certyfikowany) albo standardowych klauzul umownych przyjętych przez Komisję Europejską.

§ 8. Audyt

1. Administrator może przeprowadzić audyt nie częściej niż raz na 12 miesięcy oraz dodatkowo po naruszeniu ochrony danych, zawiadamiając Przetwarzającego z co najmniej 14-dniowym wyprzedzeniem. Audyt w pierwszej kolejności polega na odpowiedziach na pytania i przedstawieniu dokumentacji; inspekcja jest możliwa, gdy jest to niezbędne.
2. Audytor jest zobowiązany do zachowania poufności, a audyt nie może naruszać tajemnicy przedsiębiorstwa Przetwarzającego ani bezpieczeństwa danych innych Administratorów. Koszty audytu ponosi Administrator.

§ 9. Naruszenia ochrony danych

Przetwarzający zawiadamia Administratora o naruszeniu ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od jego stwierdzenia, na adres e-mail Właściciela Konta, przekazując informacje wymagane art. 33 ust. 3 RODO w zakresie, w jakim są mu znane, i uzupełniając je na bieżąco. Termin pozostawia Administratorowi czas na zgłoszenie naruszenia organowi nadzorczemu w ciągu 72 godzin.

§ 10. Postanowienia końcowe

1. Umowa obowiązuje przez czas obowiązywania umowy o korzystanie z Usługi i ulega rozwiązaniu wraz z nią; obowiązki dotyczące usunięcia danych i poufności trwają do ich wykonania.
2. Odpowiedzialność stron za szkody wynikające z naruszenia przepisów o ochronie danych osobowych regulują przepisy RODO, w szczególności art. 82.
3. Umowa jest akceptowana elektronicznie przez Właściciela w Usłudze; Usługa zapisuje wersję, datę, osobę akceptującą i skrót treści zaakceptowanego dokumentu.
4. W sprawach nieuregulowanych stosuje się Regulamin, RODO i prawo polskie. W razie sprzeczności postanowień Regulaminu i niniejszej umowy w zakresie ochrony danych osobowych pierwszeństwo ma niniejsza umowa.

↑ Wróć na początek